PHP Security Basics — SQL Injection, XSS, CSRF ও Password Hashing

// দুর্বল — কখনো এটা করবেন না
$username = $_GET['username'];
$sql = "SELECT * FROM users WHERE username = '$username'";
// একজন attacker জমা দিলে: ' OR '1'='1
// এটা প্রতিটি row match করা একটি query-তে পরিণত হয়

// নিরাপদ — একটি prepared statement
$stmt = $pdo->prepare('SELECT * FROM users WHERE username = ?');
$stmt->execute([$_GET['username']]);
// Input SQL থেকে আলাদাভাবে পাঠানো হয় — এটাতে যাই থাকুক
// কখনো query-র অংশ হিসেবে interpret করা যায় না

// দুর্বল
echo "Welcome, " . $_GET['name'];
// একটি নাম <script>stealCookies()</script> আসল JavaScript হিসেবে চলে

// নিরাপদ — output-এর আগে escape করুন
echo "Welcome, " . htmlspecialchars($_GET['name']);
// script tag নিরীহ টেক্সট হিসেবে দেখানো হয়, চালানো হয় না

// Form render করার সময়
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
echo '<input type="hidden" name="csrf_token" value="' . $_SESSION['csrf_token'] . '">';

// Form submission process করার সময়
if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'] ?? '')) {
    die('Invalid request.');
}

// একজন user register করলে
$hashed = password_hash($_POST['password'], PASSWORD_DEFAULT);
// $hashed database-এ সংরক্ষণ করুন — কখনো plain password না

// একজন user login করলে
if (password_verify($_POST['password'], $storedHash)) {
    // সঠিক password
}